CVE-2026-94370

ŚrednieCVSS 6.5

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Wada w rdzeniu obsługi stringów w Qt for MCUs powoduje uszkodzenie pamięci sterty. Gdy aplikacja przekazuje tekst do Qt Quick Ultralite za pomocą publicznego typu Qul::String, a tekst jest przechowywany w std::string, konwersja do wewnętrznego typu string kopiuje wskaźnik bez przejęcia własności. Dwa obiekty zwalniają tę samą pamięć, co prowadzi do podwójnego zwolnienia, nieprawidłowego zwolnienia lub użycia po zwolnieniu.

Ocena ryzyka

Ryzyko obejmuje awarie systemu, potencjalne wykonanie dowolnego kodu lub naruszenie integralności danych w aplikacjach korzystających z Qt for MCUs.

Rekomendacja

Zaleca się aktualizację Qt for MCUs do wersji zawierającej poprawkę oraz unikanie przekazywania std::string do Qul::String bez odpowiedniego zarządzania własnością.

Inne podatności w Qt for MCUs

CVE-2026-19395Średnie
W Qt for MCUs element Text wyświetlający stylizowany tekst zatrzymuje urządzenie, jeśli znacznik <img> w tekście zawiera atrybut z pustą wartością. Parser tekstu przekazuje pustą wartość do wewnętrznej kontroli, która akceptuje tylko niepuste wartości; kontrola kończy się niepowodzeniem i zgłasza błąd, a domyślny program obsługi błędów zatrzymuje urządzenie.

Oryginalny opis (angielski, źródło NVD)

A defect in the Qt for MCUs core string handling causes heap memory corruption. When an application passes text into Qt Quick Ultralite using the public Qul::String interface type, and that text is held in a std::string, the conversion to the internal string type copies the pointer without taking ownership of it. Two objects then release the same memory, producing a double free, an invalid free, or a use-after-free.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS